Durante dos años la industria vendió copilotos: asistentes que responden preguntas sobre una alerta. Útiles, pero el analista seguía haciendo el trabajo. El salto real es el agente, software que ejecuta una tarea completa con un objetivo, herramientas y un registro de cada paso.
Qué automatizar primero
La regla que usamos: automatizar lo que es repetitivo, verificable y reversible. El triaje de volumen cumple las tres. La contención que interrumpe el negocio no cumple ninguna, por eso sigue siendo humana.
DÓNDE OPERAN NUESTROS SEIS AGENTES
- Clasificación y enriquecimiento de alertas, repetitivo, verificable contra el registro.
- Reconocimiento en ejercicios ofensivos, acelera, el pentester decide y explota.
- Generación de hipótesis de detección, medidas contra 90 días de historia antes de desplegar.
- Redacción de informes, el borrador es del agente, la firma es del analista.
La pregunta no es cuánto automatizamos. Es qué decisiones seguimos reservando a una persona con nombre.
Cómo medirlo sin engañarse
Las métricas de vanidad abundan: «alertas procesadas por IA», «horas ahorradas». Las que importan son tres: cuántos casos reales sobrevivieron al filtro (la nuestra: todos, auditado mensualmente), el tiempo de alerta crítica a primera acción (menos de 15 minutos) y cuántas decisiones de negocio tomó una máquina sola (cero).
Si su proveedor de seguridad no puede mostrarle el registro de razonamiento de sus automatizaciones, no está comprando IA, está comprando una caja negra con marketing encima.
